「Movable Type」ベースの「PowerCMS」にも深刻な脆弱性

アルファサードが提供するコンテンツマネジメントシステム（CMS）の「PowerCMS」に深刻な脆弱性が含まれているとして開発者やセキュリティ機関より注意喚起が行われている。ベースとなる「Movable Type」に明らかとなった脆弱性の影響を受けたものだが、あらたにCVE番号「CVE-2021-20850」が採番されている。

同ソフトウェアは、シックス・アパートとの許諾契約のもと、「Movable Type 6」をベースに同社が独自に開発しているCMS。今回あらたに「XMLRPC API」に「OSコマンドインジェクション」の脆弱性が明らかとなったもの。「同5.19」「同4.49」「同3.295」および以前のバージョンが影響を受ける。

10月20日に公表された「Movable Type」の「CVE-2021-20837」と同様の脆弱性で、これまでも利用者に対して注意喚起が行われてきたが、あらたにCVE番号「CVE-2021-20850」が採番された。共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」。